mboost-dp1

nyt angreb på IoT thingies


Gå til bund
Gravatar #2 - larsp
24. nov. 2022 08:04
Boa - det var godt nok en minimal (og shitty) web server. Jeg kendte den ikke.

Det lader til at folk brugte (bruger??) den selv på Linux platforme. Det undrer mig lidt for man kan meget nemt installere bedre web servere på en Linux platform.

Minimale web servere som Boa forekommer mig mere relevante at linke direkte ind i bare-metal embedded C, uden OS. Og hvis man kører bare metal vil et exploit typisk bare crashe systemet. Det er meget, meget sværere at overtage et bare metal system og få noget fornuftigt ud af det. (PS. det er så absolut ikke umuligt, og der er garanteret mange flere huller i et typisk bare metal system, men mangel på filsystem og eksekverbare filer, og forskelligt memory layout fra build til build gør det til en betydelig opgave at reverse engineere et sårbart system og dets hardware, så det kan hackes til at gøre noget "fornuftigt" udover at crashe)
Gravatar #3 - Amiga Angel
26. nov. 2022 16:23
larsp (2) skrev:
Boa - det var godt nok en minimal (og shitty) web server. Jeg kendte den ikke.

Det lader til at folk brugte (bruger??) den selv på Linux platforme. Det undrer mig lidt for man kan meget nemt installere bedre web servere på en Linux platform.

Minimale web servere som Boa forekommer mig mere relevante at linke direkte ind i bare-metal embedded C, uden OS. Og hvis man kører bare metal vil et exploit typisk bare crashe systemet. Det er meget, meget sværere at overtage et bare metal system og få noget fornuftigt ud af det. (PS. det er så absolut ikke umuligt, og der er garanteret mange flere huller i et typisk bare metal system, men mangel på filsystem og eksekverbare filer, og forskelligt memory layout fra build til build gør det til en betydelig opgave at reverse engineere et sårbart system og dets hardware, så det kan hackes til at gøre noget "fornuftigt" udover at crashe)

min favorit webserver er apache... personligt tvivler jeg på jeg kommer til at bruge miccrosoft software i linux når der er så meget andet lækkert open source software
Gravatar #4 - arne_v
26. nov. 2022 18:20
Amiga Angel (3) skrev:

min favorit webserver er apache...


Apache er en fin web server.

Men den kan ikke køre med 32 KB RAM son Boa kan.

Amiga Angel (3) skrev:

personligt tvivler jeg på jeg kommer til at bruge miccrosoft software i linux når der er så meget andet lækkert open source software


Det er en anden diskussion.
Gravatar #5 - Amiga Angel
26. nov. 2022 18:50
arne_v (4) skrev:
Amiga Angel (3) skrev:

min favorit webserver er apache...


Apache er en fin web server.

Men den kan ikke køre med 32 KB RAM son Boa kan.


hvornår ville du have brug for det?

arne_v (4) skrev:
Amiga Angel (3) skrev:

personligt tvivler jeg på jeg kommer til at bruge miccrosoft software i linux når der er så meget andet lækkert open source software


Det er en anden diskussion.


sandt nok
Gravatar #6 - arne_v
26. nov. 2022 20:22
Amiga Angel (5) skrev:
arne_v (4) skrev:
Amiga Angel (3) skrev:

min favorit webserver er apache...


Apache er en fin web server.

Men den kan ikke køre med 32 KB RAM son Boa kan.


hvornår ville du have brug for det?


Måske i en IoT thingy med begrænset mængde RAM.

:-)

Gravatar #7 - Amiga Angel
26. nov. 2022 20:49
arne_v (6) skrev:
Amiga Angel (5) skrev:
arne_v (4) skrev:
Amiga Angel (3) skrev:

min favorit webserver er apache...


Apache er en fin web server.

Men den kan ikke køre med 32 KB RAM son Boa kan.


hvornår ville du have brug for det?


Måske i en IoT thingy med begrænset mængde RAM.

:-)




hm måske

busybox kan komme tæt på

https://busybox.net/use_less_ram.html
Gravatar #8 - arne_v
26. nov. 2022 20:55
#7

BusyBox er shell utilities ikke en web server, men det er formentligt det samme markede.

Gravatar #9 - Amiga Angel
26. nov. 2022 21:02
arne_v (8) skrev:
#7

BusyBox er shell utilities ikke en web server, men det er formentligt det samme markede.


det undrer mig bare hvis boa er den eneste web server der kan komme så langt ned i memory usage
Gravatar #10 - arne_v
26. nov. 2022 21:28
#9

Selvfølgelig er der andre.

Ikke alle har brug for Apache/nginx/Lighttpd.

Lidt googling finder produkter som Mongoose og thttpd.

https://en.wikipedia.org/wiki/Mongoose_(web_server...

https://en.wikipedia.org/wiki/Thttpd


Gravatar #11 - Amiga Angel
26. nov. 2022 22:47
arne_v (10) skrev:
#9

Selvfølgelig er der andre.

Ikke alle har brug for Apache/nginx/Lighttpd.

Lidt googling finder produkter som Mongoose og thttpd.

https://en.wikipedia.org/wiki/Mongoose_(web_server...

https://en.wikipedia.org/wiki/Thttpd



men hvorfor er boa så blevet så udbredt, timing?
Gravatar #12 - arne_v
26. nov. 2022 23:33
#11

Jeg gætter på at det er et spørgsmnål om store tal.

Hvis vi siger at der er 100 millioner dimser som har en embedded web server og der er 5-10 egnede web server, så vilæ der være mange af hver.
Gravatar #13 - Amiga Angel
27. nov. 2022 04:14
arne_v (12) skrev:
#11

Jeg gætter på at det er et spørgsmnål om store tal.

Hvis vi siger at der er 100 millioner dimser som har en embedded web server og der er 5-10 egnede web server, så vilæ der være mange af hver.

det giver mening
Gravatar #14 - larsp
27. nov. 2022 08:29
Angående minimale webservere. Jeg udviklede engang på et produkt med en ~100 MHz ARM med 96 KB on-chip RAM, og 16 MB DDR (en lille smule langsommere at tilgå). Systemet kørte ikke Linux men brugte FreeRTOS og var kodet i C. Bare metal.

Her kørte vi med en custom(!) kodet, multithreaded, webserver. Den fyldte faktisk ikke ret meget, for vi havde ikke brug for server side dynamiske features. Den skulle bare servere statiske pages og webservices, og så klarede javascript i frontend resten. Dette lille apparat var TOP optimeret og løftede langt over sin vægt i performance.
Gå til top

Opret dig som bruger i dag

Det er gratis, og du binder dig ikke til noget.

Når du er oprettet som bruger, får du adgang til en lang række af sidens andre muligheder, såsom at udforme siden efter eget ønske og deltage i diskussionerne.

Opret Bruger Login